Creare e gestire in sicurezza un account Sophos ID
Un Sophos ID è l’account personale con cui una persona accede ai servizi Sophos. Non coincide con un tenant Sophos Central e da solo non concede diritti amministrativi. Tenant, dati di supporto e funzioni visibili dipendono da inviti, associazioni e ruoli.
Procedura breve: confermare indirizzo aziendale e responsabile, cercare un invito o account esistente e solo allora aprire la pagina di accesso o registrazione Sophos ID. Dopo l’accesso registrare almeno due metodi MFA, verificare tenant e ruolo corretti e garantire il recovery con un secondo Super Admin.
Quando serve un Sophos ID
Sophos ID è l’identità di accesso comune per Sophos Central, Support Portal e alcune operazioni su account e licenze. Gli account locali di Sophos Firewall, gli utenti del Central Self Service Portal e le API Credentials sono identità separate.
Prima di creare un account chiarire:
- quale servizio Sophos occorre usare;
- se esiste già un invito di un cliente, partner o tenant Central;
- quale indirizzo aziendale resta assegnato alla persona durante l’incarico;
- chi può concedere il ruolo necessario e reimpostare la MFA in emergenza.
Per gli amministratori usare account nominativi. Una casella di team condivisa come login impedisce di attribuire chiaramente le azioni e complica MFA, recovery e offboarding.
Distinguere account, ruolo e tenant
Sophos ID stabilisce chi accede. Un ruolo amministrativo Central definisce cosa può fare quella persona in uno specifico tenant. Un account amministrativo locale del firewall e un profilo partner o supporto costituiscono ulteriori contesti autorizzativi separati.
Una persona può usare lo stesso indirizzo in più contesti Sophos. Prima di ogni modifica controllare il nome cliente o tenant visualizzato. Un accesso riuscito prova solo l’identità, non il ruolo corretto nel tenant corretto. I ruoli amministrativi di Sophos Central spiegano la scelta del ruolo.
Creare Sophos ID o accedere
- Cercare un account esistente negli inviti, nei messaggi di benvenuto e nel password manager. Per un’organizzazione Central esistente usare l’invito; non creare inavvertitamente un secondo tenant tramite una registrazione di prova.
- Aprire l’accesso Sophos ID. Questa pagina esterna, controllata da Sophos, consente l’accesso o la registrazione.
- Inserire l’indirizzo aziendale. Il flusso Sophos attuale prosegue con accesso, verifica o registrazione in base allo stato dell’account. Usare solo codici relativi a una procedura avviata personalmente e verificare mittente e destinatario.
- Salvare una nuova password solo nel password manager. Per un account esistente usare Forgot your password? nello stesso flusso invece di creare un secondo account dal nome simile.
- Una volta entrati, aprire servizio e tenant attesi. Confrontare nome cliente, ruolo e asset visibili con la richiesta approvata.
Quando si attiva un nuovo account Sophos Central, il messaggio di benvenuto contiene Create Password. Durante l’attivazione si sceglie anche la regione Central Admin Portal in cui vengono archiviati i dati. Questa decisione sul tenant non fa parte dell’accesso Sophos ID ordinario e va concordata con il responsabile prima dell’attivazione.
Configurare MFA e Passkey resilienti
Sophos richiede MFA moderna agli amministratori Central. L’accesso con password usa un’app TOTP; dopo l’enrollment iniziale si può usare un Passkey. SMS ed e-mail più PIN non sono più disponibili per i nuovi enrollment.
Gli amministratori Central devono registrare almeno due metodi MFA. Una combinazione robusta è un Passkey e un’app TOTP su dispositivi indipendenti, oppure due Passkey in ecosistemi distinti. Sophos raccomanda i Passkey e ne consente fino a dieci. Aggiungere il primo dopo l’app di autenticazione in Profile icon > My info > Manage MFA.
Non conservare entrambi i metodi solo sullo stesso telefono. Assegnare nomi chiari e controllarli dopo il cambio dispositivo. Prima di cancellare o reimpostare il vecchio dispositivo, provare il metodo sostitutivo in una finestra privata. Non è possibile eliminare un metodo se si scende sotto il minimo obbligatorio.
Controllare joiner, mover e leaver
Joiner: documentare responsabile dell’account, indirizzo aziendale, tenant di destinazione, ruolo approvato e due metodi MFA. Controllare insieme il primo accesso senza condividere password o seed TOTP.
Mover: al cambio di mansione, modificare ruoli e associazioni ai tenant invece di condividere o sostituire Sophos ID. Rimuovere separatamente i contesti cliente, partner, supporto e licenza non più necessari.
Leaver: prima dell’uscita confermare un secondo Super Admin operativo. Revocare poi ruoli amministrativi, accessi tenant e partner e associazioni di supporto e licenza. Bloccare casella aziendale e dispositivi MFA secondo l’offboarding interno. Disabilitare la sola casella non rimuove i permessi Sophos.
Almeno ogni trimestre verificare amministratori attivi, Super Admin, fornitori esterni, metodi MFA usati di recente e responsabili documentati. La panoramica dei portali Sophos aiuta a individuare tutti i percorsi di accesso distinti.
Gestire Authenticator perso e recovery
Se resta disponibile un secondo metodo, accedere con quello, aprire Profile icon > My info > Manage MFA, registrare prima il sostituto e poi eliminare il metodo perso. Se si sospetta un furto, controllare anche password, sessioni, ruoli e modifiche amministrative recenti.
Se un utente di un tenant Central perde tutti i metodi, un Super Admin di quel tenant reimposta la MFA tramite My Environment > Users & Groups > Users >
Per un utente cliente idoneo, un Partner Super Admin usa invece My Business > My Customers > Customers >
Per un utente partner gestito, un Partner Super Admin usa Global Settings > Access Control > Administer MFA >
Se nessun amministratore disponibile è autorizzato a reimpostare la MFA dell’account interessato, il recovery deve essere gestito da Sophos Support. Preparare nome azienda, indirizzo interessato, dati del tenant, orario, ultimo accesso riuscito e prove verificabili dei diritti. Vedere Aprire un ticket al supporto Sophos.
Validare accesso e autorizzazioni
Dopo creazione, cambio ruolo o recovery, verificare:
- accesso con il metodo primario e separatamente con quello di recovery;
- nome cliente o tenant e ruolo amministrativo atteso;
- accesso a una pagina innocua consentita dal ruolo e test negativo di una funzione vietata;
- rimozione dei vecchi metodi MFA e degli accessi tenant inutili;
- registrazione di responsabile, revisore, data e prossima revisione.
Risolvere gli errori comuni
Nessuna e-mail: controllare spam e quarantena, cercare do-not-reply@central.sophos.com e verificare l’indirizzo esatto. Se manca il messaggio di benvenuto Central, non creare un secondo account: usare l’invitante o il processo di attivazione Central.
Tenant errato o vuoto: controllare prima indirizzo e organizzazione selezionati. Chiedere poi a un Super Admin di verificare invito, associazione utente e ruolo. Un nuovo Sophos ID non corregge un’autorizzazione tenant mancante.
TOTP rifiutato: abilitare l’ora automatica sul telefono, scegliere la voce dell’indirizzo corretto e attendere un nuovo codice. Non continuare a tentare: dopo cinque errori consecutivi Sophos blocca temporaneamente l’account e ulteriori errori prolungano il blocco.
Passkey non funziona: provare un altro browser supportato o il dispositivo registrato e scegliere TOTP tramite Try another way. Per l’uso tra dispositivi verificare Bluetooth e vicinanza. Secondo Sophos, Microsoft Authenticator come archivio Passkey non è supportato senza accesso federato Entra ID.
Tutti i metodi MFA persi: usare il percorso di reset sopra indicato per l’utente del tenant, l’utente cliente idoneo o l’utente partner gestito, a seconda dell’account interessato. Passare a Sophos Support con le prove di titolarità e tenant preparate ogni volta che il ruolo disponibile non è autorizzato a reimpostare la MFA di quell’account.
Account bloccato dopo accessi non riusciti: interrompere i tentativi. Attendere il periodo di blocco crescente—inizialmente un minuto e fino a un massimo di cinque ore—oppure contattare Sophos Support per lo sblocco. Reimpostare la MFA non elimina questo blocco.